Kısaca cevap
Sızdırılmış şifre uyarısı, Chrome'a veya Google Şifre Yöneticisi'ne kaydettiğiniz bir kullanıcı adı ve şifrenin, internette yayınlanmış bir veri ihlali listesinde bulunduğu anlamına gelir. Google hesabınızın hacklendiğini göstermez, ama o şifre artık güvenli değildir. Uyarıdaki siteye girip şifreyi hemen değiştirin, aynı şifreyi kullandığınız her yerde de değiştirin ve mümkünse iki adımlı doğrulamayı açın. Uyarının gerçek olup olmadığını anlamak için e-postadaki bağlantı yerine Google Şifre Yöneticisi'ni kendiniz açın.
Bu sayfada
Sızdırılmış şifre ne demek?
"Sızdırılmış şifre" ya da Google'ın Türkçe arayüzdeki ifadesiyle "güvenliği ihlal edilmiş şifre", bir sitenin veya uygulamanın kullanıcı veritabanı ele geçirildikten sonra internette yayınlanan kullanıcı adı ve şifre çiftidir. Google bu kombinasyonların internette yayınlandığı için artık güvenli olmadığını ve en kısa sürede değiştirilmesi gerektiğini söylüyor.
Önemli nokta şu: Sızıntı büyük olasılıkla Google'da değil, o şifreyi kullandığınız başka bir sitede olmuştur. Chrome, kaydettiğiniz şifreleri bilinen sızıntı listeleriyle karşılaştırır ve eşleşme bulursa sizi uyarır. Sızıntıların nasıl olduğunu ve genel olarak neler yapılması gerektiğini veri sızıntısından sonra yapılacaklar yazısında anlattık; bu yazı Google ve Chrome'un uyarısına odaklanıyor.
Google sızdırılmış şifre uyarısı nereden çıkıyor?
Bu uyarıyla birkaç farklı yerde karşılaşabilirsiniz:
- Bir siteye giriş yaparken Chrome'da açılan pencere: Kullandığınız kullanıcı adı ve şifre bir veri ihlalinde yer alıyorsa Chrome sizi uyarır. Google'a göre bu ayar varsayılan olarak açıktır.
- Google Şifre Yöneticisi'ndeki Şifre Güvenliği sonuçları: Kayıtlı tüm şifreleriniz tek seferde kontrol edilir ve "Güvenliği ihlal edilmiş şifreler" başlığı altında listelenir.
- Android bildirimi: Android'deki Chrome, uyarı aldığınızda Şifre Güvenliği'ne gitmenizi ve şifreyi her sitede değiştirmenizi ister.
- Google Hesabı şifresi için uyarı: Google, hesabınızın kendi şifresinin güvenli olmadığına kanaat getirirse, Şifre Güvenliği özelliğini kullanmasanız bile şifrenizi değiştirmenizi ister.
Chrome şifremi Google'a mı gönderiyor?
Google'ın anlattığı yönteme göre hayır. Chrome kullanıcı adınızı ve şifrenizi önce yalnızca cihazınızın bildiği gizli bir anahtarla şifreler, ardından bu gizlenmiş kopyayı bilinen ihlal verileriyle karşılaştırılmak üzere Google'a gönderir. Şifreleme Google'ın sunuculara ulaşmadan önce yapıldığı için Google dahil hiç kimse kullanıcı adınızı veya şifrenizi öğrenmez.
Uyarı gerçek mi, sahte mi?
Dolandırıcılar da "şifreniz sızdırıldı, hemen değiştirin" diye e-posta ve SMS gönderir; amaç, sizi sahte bir giriş sayfasına çekip gerçek şifrenizi almaktır. Google'ın önerisi basit: Güvenli olmayan şifre bildirimi aldığınızda bildirimin orijinalliğini teyit etmek için doğrudan Şifre Güvenliği'ne gidin.
- E-postadaki veya mesajdaki bağlantıya tıklamayın.
- Chrome'u kendiniz açın ya da adres çubuğuna passwords.google.com yazın.
- Uyarı gerçekse aynı site orada da "güvenliği ihlal edilmiş" olarak görünür.
Sahte sıfırlama mesajlarını tanıma yollarını sahte şifre sıfırlama e-postaları yazısında topladık.
Sızdırılmış şifre uyarısı geldi: adım adım ne yapmalı?
- Listeyi açın. Bilgisayarda Chrome'da sağ üstteki üç nokta menüsünden Şifreler ve otomatik doldurma > Google Şifre Yöneticisi'ni seçin ve soldaki Kontrol'e tıklayın. Android'de Chrome'da Ayarlar > Google Şifre Yöneticisi > Kontrol yolunu izleyin. Başka bir tarayıcıda passwords.google.com adresinde Şifre Güvenliği'ne git > Şifreleri kontrol et'i seçin.
- Güvenliği ihlal edilmiş şifreleri önce ele alın. Listedeki her site için Chrome'un gösterdiği talimatları izleyerek şifreyi o sitenin kendisinde değiştirin.
- Yeni şifreyi benzersiz yapın. Eski şifrenin sonuna rakam eklemek işe yaramaz; sızıntı listelerini kullanan saldırganlar bu tür küçük değişiklikleri de dener. Chrome'un önerdiği şifreyi veya şifre üreticinin oluşturduğu rastgele bir şifreyi kullanın.
- Aynı şifreyi kullandığınız her yeri değiştirin. Sızan şifre başka hesaplarda da kullanılıyorsa saldırganlar onu sırayla dener. Önceliği e-posta, bankacılık ve sosyal medya hesaplarına verin.
- Kayıtlı şifreyi güncelleyin. Chrome yeni şifreyi kaydetmeyi önerirse kabul edin; önermezse Google Şifre Yöneticisi'nde kaydı elle düzenleyin.
- İki adımlı doğrulamayı açın. Sızan bir şifre ikinci adımla korunan hesapta tek başına yeterli olmaz. Google hesabınız için adımlar Google hesabında iki adımlı doğrulama yazısında.
- Hesapta tuhaflık var mı bakın. Tanımadığınız giriş, gönderilmemiş mesaj veya değişmiş e-posta adresi görürseniz hesabım hacklendi rehberindeki adımları izleyin.
Chrome'un otomatik şifre değiştirme özelliği
Bilgisayardaki Chrome, bazı uyumlu sitelerde sızan şifreyi sizin yerinize değiştirebilir. Bunun için Chrome'da Google hesabınızla oturum açmış olmanız, Google Şifre Yöneticisi'nde en az bir kayıtlı şifreniz olması ve şifre kaydetme özelliğinin açık olması gerekir. Böyle bir sitede giriş yaptığınızda "Şifrenizin herkese açık bir veri ihlalinde yer aldığı belirlendi" uyarısı çıkar; Benim için değiştir'i seçerseniz Chrome yeni ve güçlü bir şifre belirler. İşlem başarısız olursa Sitede değiştir seçeneğiyle şifreyi kendiniz değiştirebilirsiniz. Google, işlem sürerken sekmeyi kapatırsanız şifrenin güncellenmeyebileceği uyarısını da yapıyor.
Chrome sızdırılmış şifre uyarısını açma ve kapatma
Chrome'un giriş sırasında uyarı göstermesi bir ayara bağlıdır:
- Chrome'da sağ üstteki üç nokta menüsünden Ayarlar > Gizlilik ve güvenlik'i açın.
- Güvenlik'i seçin ve "Standart koruma" altında şifrelerin veri ihlalinde açığa çıkması durumunda uyarı veren seçeneği açın veya kapatın.
Google'a göre bu özellik yalnızca Güvenli Tarama açıksa kullanılabilir; "Gelişmiş koruma"yı seçtiyseniz kontrol varsayılan olarak açıktır. Bu uyarıyı kapatmanızı önermiyoruz; tek maliyeti ara sıra çıkan bir penceredir.
Belirli bir site için gelen uyarıyı gizlemek isterseniz Şifre Güvenliği listesinde o sitenin yanındaki Diğer > Uyarıyı kapat'ı seçin. Kapatılan uyarılar "Kapatılan uyarılar" bölümünde durur ve Uyarıyı geri yükle ile geri getirilebilir. passwords.google.com'daki Ayarlar altında bulunan Şifre uyarıları seçeneği ise uyarıları toptan açıp kapatır; Google, bunu kapattıktan sonra 48 saate kadar uyarı gelmeye devam edebileceğini ve şifrelerin kontrol edilmeye devam ettiğini belirtiyor.
Zayıf ve yeniden kullanılan şifre uyarıları
Şifre Güvenliği kontrolü sızıntının yanında iki sorun daha gösterir:
- Yeniden kullanılan şifreler: Aynı şifre birden fazla hesapta kullanılıyor. Google, bunun saldırı riskini artırdığını ve her hesap için benzersiz şifre kullanmanızı önemle tavsiye ettiğini söylüyor. Bugün sızmamış olsa da bir sitede sızdığı gün hepsi tehlikeye girer.
- Zayıf şifreler: Bariz ifadeler, basit klavye dizileri ve tek kelimelik şifreler kolayca tahmin edilir. Yenisini en az 12 karakter olacak şekilde, rastgele seçin.
Önceliği her zaman sızdırılmış şifrelere verin, ardından tekrar kullanılanlara, en son zayıf olanlara geçin.
Şifre güvenliği sorgulama: şifrem sızdı mı nasıl bakılır?
Chrome veya Google Şifre Yöneticisi kullanıyorsanız en kolay sorgulama yukarıdaki Kontrol ekranıdır; yalnızca Google'a kaydettiğiniz şifreleri kontrol eder. Başka bir şifre yöneticisi kullanıyorsanız onun güvenlik raporuna bakın. Apple cihazlarda da Parolalar, kayıtlı parolaları sızdırıldığı bilinen parolaların sürekli güncellenen listesiyle karşılaştırır ve eşleşmeleri uyarı olarak gösterir.
Sitemizdeki şifre güç testi ise farklı bir iş yapar: Şifrenin yapısını tarayıcınızda ölçer, hiçbir sızıntı listesine bakmaz ve şifrenizi hiçbir yere göndermez. Yani "güçlü" sonucu, şifrenin sızmadığı anlamına gelmez. Sızıntı sorgulama sitelerinin nasıl kullanılacağını ve nelere dikkat edileceğini veri sızıntısı yazısında anlattık.
Şifrenizi "sızdı mı" diye kontrol eden ve şifreyi açıkça yazmanızı isteyen bilinmeyen sitelere gerçek şifrenizi girmeyin. Güvendiğiniz şifre yöneticisinin kendi kontrolünü kullanın.
Sık sorulan sorular
Sızdırılmış şifre uyarısı Google hesabımın hacklendiği anlamına mı gelir?
Hayır, tek başına bunu göstermez. Uyarı, kayıtlı bir kullanıcı adı ve şifre kombinasyonunuzun internette yayınlanmış bir veri ihlali listesinde bulunduğunu söyler. Sızıntı çoğu zaman o şifreyi kullandığınız başka bir siteden kaynaklanır. Yine de şifreyi hemen değiştirmeli ve aynı şifreyi kullandığınız diğer hesapları da güncellemelisiniz.
Google veya Chrome şifremi görüyor mu?
Google'ın açıklamasına göre Chrome, kontrol için kullanıcı adınızı ve şifrenizi yalnızca cihazınızın bildiği gizli bir anahtarla şifreler ve Google'a bu şifrelenmiş kopyayı gönderir. Karşılaştırma bu şifrelenmiş veriler üzerinde yapılır ve Google bu süreçte kullanıcı adınızı veya şifrenizi öğrenmez.
Sızdırılmış şifre uyarılarını kapatırsam kontrol durur mu?
Google'a göre uyarıları kapatsanız bile Google şifrelerinizi kontrol etmeye devam eder ve ayarı kapattıktan sonra 48 saate kadar uyarı almaya devam edebilirsiniz. Tek bir site için gelen uyarıyı ise Şifre Güvenliği listesinde Uyarıyı kapat seçeneğiyle gizleyebilirsiniz.
Şifremi değiştirdim ama uyarı hâlâ görünüyor, neden?
En sık neden, şifreyi sitede değiştirdiğiniz hâlde Google Şifre Yöneticisi'ndeki kaydın eski kalmasıdır. Kayıtlı şifreyi yeni şifreyle güncelleyin veya Şifre Güvenliği kontrolünü yeniden çalıştırın. Aynı eski şifreyi kullanan başka bir site kaydı da listede kalmış olabilir.
Sızdırılmış şifre uyarısı e-postayla geldi, tıklamalı mıyım?
E-postadaki bağlantıya tıklamayın. Google, bildirimin gerçekliğini teyit etmek için doğrudan Şifre Güvenliği'ne gitmenizi öneriyor. Chrome'da Google Şifre Yöneticisi'ni kendiniz açın veya adres çubuğuna passwords.google.com yazın; uyarı gerçekse orada görünür.